Hace poco se cumplió un mes desde la última actualización de Acronis True Image 2019 Cyber Protection, que amplió las capacidades de la aplicación para reconocer malware en sistemas Windows con una nueva categoría. Ahora, además del ransomware, la protección cibernética también reconoce y detiene el malware de cryptojacking. Y el primer mes ya nos ha aportado datos telemétricos inesperadamente abundantes: en todo el mundo registramos decenas de miles de detecciones, de las que surgieron varios hallazgos interesantes que nos gustaría compartir.
Una cantidad sorprendente de cepas de malware únicas
Entre los hallazgos más interesantes destaca, sin duda, que cerca del veinte por ciento de los ataques detectados a sistemas de usuarios mediante malware de cryptojacking fueron llevados a cabo por cepas de malware nunca vistas hasta entonces o, más precisamente, hasta entonces indetectables.
Acronis Active Protection utiliza para la detección de malware de cryptojacking las mismas técnicas que emplea para detectar a sus parientes de ransomware: ambas familias utilizan los mismos vectores de ataque para infiltrarse en el sistema del usuario y, además, nuestro software no trabaja con definiciones tradicionales de amenazas según su comportamiento, sino que las define por su código mediante eficaces modelos de aprendizaje automático, que realizan el análisis del sistema de forma continua, por lo que el ataque suele detenerse antes de que realmente comience. Los antivirus tradicionales no pueden hacer frente a malware único hasta que se actualiza su base de datos, lo que suele ser demasiado tarde.
Entre los malwares de cryptojacking detectados ya bien conocidos figuraban xmr-stak-cpu.exe, Claymore CryptoNote CPU Miner, rhminer y xmrig Monero miner. Las cepas de malware antiguas y recién conocidas que intentaban realizar minería no autorizada representaban conjuntamente el 60 % de las detecciones, mientras que el 40 % correspondía al uso legítimo de código de cryptomining. Esta categoría incluye todos los procesos de minería de criptomonedas mediante un navegador web a los que el usuario había concedido conscientemente una excepción. Puede leer más sobre cómo funciona el proceso de minería de criptomonedas aquí.
Ni siquiera el Bloc de notas está a salvo
Desde el punto de vista de la investigación activa, fue aún más interesante observar lo que al principio parecía una serie de falsos positivos. Nuestra protección identificaba repetidamente como malware de cryptojacking procesos legítimos de Windows, como chrome.exe, java.exe, notepad.exe y, con mayor frecuencia, setup.exe, con 93 incidentes de dos hashes únicos. El análisis posterior de nuestros investigadores mostró que se trataba de casos de infección previa de sistemas de usuarios, detectada solo ahora, por un troyano que había insertado con éxito código para la minería no autorizada de criptomonedas en procesos legítimos.
Ejemplo de infección de notepad.exe con malware de cryptojacking, detectada gracias a Acronis Active Protection.
Entre los hallazgos menos sorprendentes, pero aún valiosos, figura el hecho de que varios sistemas que notificaban estos «falsos positivos» se encontraban entre los sistemas con mayor número de alertas. Por tanto, en caso de un ataque exitoso, aumenta significativamente el riesgo de intentos repetidos de ataque por las mismas u otras cepas de malware.
Una reflexión final
Seguiremos investigando y analizando tanto el ransomware como el malware de cryptojacking, así como publicando nuestros hallazgos. Mientras tanto, recomendamos que no olvide actualizar sus soluciones antivirus tradicionales y que al menos pruebe Acronis True Image 2019, que incluye nuestra tecnología de protección cibernética Acronis Active Protection, o descargue su versión gratuita como aplicación independiente: Acronis Ransomware Protection.
Elaborado a partir de fuentes en inglés de Acronis.
Fuente: https://www.acronis.cz/novy-cryptojacking-blocker-ma-uz-po-mesici-skvele-vysledky/
Autor del artículo: Redacción ZEBR.ai
